제2024-212-431호

안건번호 : 제2024-212-431호
안건명 : 개인정보보호 실태 개선권고에 관한 건
신청인 : (사업자등록번호 : )
의결연월일 : 2024. 6. 12.

1. 피심인에 대하여 다음과 같이 개선을 권고한다.
가. 배달원 개인정보를 처리하기 위해 동의를 획득하는 경우 정보주체가 자유로운 의사에 따라 동의 여부를 결정할 수 있도록 하고, 동의 이외의 사유(예: 계약이행)를 근거로 하는 경우 개인정보의 보관기간을 합리적으로 설정하여야 한다.
나. 피심인은 가의 개선권고에 따른 필요한 조치를 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 조치 결과를 개인정보보호위원회에 제출하여야 한다.

Ⅰ. 기초 사실

피심인은 배달중개플랫폼 ' ’ 서비스를 앱으로 제공하는 「개인정보 보호법」(각주:법률 제19234호, 2023. 3. 14., 일부개정, 2024. 3. 15. 시행) (이하 '보호법’이라 한다)에 따른 개인정보처리자이며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=147395115" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과

1. 조사 배경

개인정보보호위원회는 피심인의 배달플랫폼 내 배달원 개인정보 처리 관련 민원 제기에 따라 사실관계를 확인(’23. 12. 18. ～ ’24. 4. 5.) 하였다.

2. 개인정보의 취급ㆍ운영 관련 사실관계

가. 배달원 개인정보 장기 보관 관련

피심인은 모바일앱을 통해, 배달원이 회원가입 시 동의를 받아 업무 중 이동 경로 정보*를 수집ㆍ처리하고 있으며, 수집 목적은 배달원의 배달수수료 산정, 보험처리용 운행기록 확인, 부정 이용(어뷰징) 탐지, 서비스 개선 등이다.

* (수집정보)

사실관계 확인시점 현재를 기준으로 피심인의 개인정보 보관기간은 '배달 완료 후 1년’으로 운영되고 있다.

나. 배달원 개인정보의 연구목적 가명처리 관련

피심인의 배달원 정보 가명처리 후 연구목적 활용과 관련하여, 사실관계 확인 시점을 기준으로 피심인은 가명처리를 통해 데이터를 활용하고 있지 않으며, 수집한 배달원의 위치 데이터는 적법한 보관기간 내에서 서비스(배달경로 추천, 배달 예상 시간 추정, 부정 이용 탐지) 개선 목적으로 활용하고 있음을 확인하였다.

다. 계열사 간 개인정보 공유ㆍ중첩 처리 관련

피심인은 모회사인 으로부터 배달업무를 위탁받은 자회사이다. 피심인은 위치정보의 보호 및 이용 등에 관한 법률(각주:법률 제18517호, 2021. 10. 19., 일부개정, 2022. 4. 20. 시행) 에 따른 개인위치정보사업자로서 개인위치정보 데이터를 수집*하며, 수집한 데이터 처리를 위한 전산시스템 개발ㆍ유지관리 업무를 모회사인 에 위탁하고 있다.

* 위치정보의 보호 및 이용 등에 관한 법률 제5조에 따라 방송통신위원회에 개인위치정보사업자로 등록한 사업자만이 위치정보 수집 가능


Ⅲ. 위법성 판단

1. 관련법 규정

가. 보호법 제15조 제1항은 개인정보처리자는 정보주체의 동의를 받은 경우(제1호), 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우(제4호) 등에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다고 규정하고 있다.

나. 보호법 제28조의2 제1항은 “개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다.”라고 규정하고 있다.

다. 보호법 제26조제1항에서는 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항(제1호), 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항(제2호), 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항(제3호)에 대한 내용이 포함된 문서로 하여야 한다고 규정하고 있다.

2. 위법성 판단

가. 배달원 개인정보 장기 보관 관련

피심인이 배달원의 데이터를 배달 완료 후 1년간 보관하는 행위는, 피심인이 배달원의 운행 중 교통사고 등에 대비하여 산재보험에 가입하고 있는 점, 보험금 청구 시효가 3년인 점(상법 제662조, 산업재해보상법 제112조), 보험처리 대상 사고가 당해 배달 플랫폼 업무 수행 중에 발생하였음을 증빙하기 위해 배달원의 위치ㆍ시각 등 운행정보를 보험금 청구시효 내 일정기간 동안 보존할 필요성이 있는 점, 이러한 보험청구 사무지원은 피심인이 배달원과 체결한 계약에 부수된 보호 의무의 이행에 해당하는 점 등을 종합적으로 고려할 때, 계약이행을 위한 처리 또는 합리적 관련성 범위 내 추가 처리로서 적법하다고 볼 여지가 있다.

다만, 회원가입 시 받는 동의를 위 개인정보 보관기간의 적법근거로 보는 경우, 그러한 동의는 정보주체가 자유로운 의사에 따라 동의 여부를 결정할 수 있도록 요구하는 보호법 시행령 제17조제1항(’24.9.15. 시행 예정)에 부합하지 않는다. 따라서 피심인이 배달원 개인정보를 처리하기 위해 동의를 획득하는 경우 정보주체가 자유로운 의사에 따라 동의 여부를 결정할 수 있도록 하거나, 또는 앞서 본 동의 이외의 사유를 근거로 위 개인정보 보관기간을 운영하도록 개선을 권고하고자 한다.

나. 배달원 개인정보의 연구목적 가명처리 관련

사실관계 확인 시점을 기준으로 피심인은 가명정보를 처리하지 않고 있어 해당 사항이 없는 것으로 판단하였다.

다. 계열사간 개인정보 공유ㆍ중첩 처리 의혹 관련

피심인이 수집한 배달원의 개인정보 처리를 전산시스템 개발ㆍ유지관리 업무 위탁사인 에 위탁하는 행위는 보호법을 위반하였다고 보기 어렵다.


Ⅳ. 처분 및 결정

1. 개선권고

피심인에 대하여 다음과 같이 개선을 권고한다.

가. 배달원 개인정보를 처리하기 위해 동의를 획득하는 경우 정보주체가 자유로운 의사에 따라 동의 여부를 결정할 수 있도록 하고, 동의 이외의 사유(예: 계약이행)를 근거로 하는 경우 개인정보의 보관기간을 합리적으로 설정하여야 한다.

나. 피심인은 가의 개선권고에 따른 필요한 조치를 이행하고, 개선권고 통지를 받은 날로부터 90일 이내에 조치 결과를 개인정보보호위원회에 제출하여야 한다.


Ⅴ. 결론

피심인의 개인정보보호 실태에 대하여 보호법 제61조(개선권고)제2항에 따라 개선권고를 주문과 같이 의결한다.
이상과 같은 이유로 주문과 같이 의결한다.